Urząd Ochrony Danych Osobowych rozpatruje skargę na ChatGPT. Czy przetwarza dane niezgodnie z prawem?

• Stanowisko Urzędu Ochrony Danych Osobowych
• Reakcja UODO na działania Open AI
• Podejście europejskie do problemu
• Główne zarzuty wobec ChatGPT
• Oczekiwania skarżącego
• Komentarz zastępcy prezesa UODO

Stanowisko Urzędu Ochrony Danych Osobowych

Według Urzędu Ochrony Danych Osobowych sprawa "będzie należała do trudnych". Jak wskazał urząd, dotyczy ona firmy zlokalizowanej poza granicami Unii Europejskiej, a sam ChatGPT jest - zdaniem UODO - "nowym i tak naprawdę jeszcze nieodkrytym, także dla badaczy nowych technologii, narzędziem wykorzystującym generatywną sztuczną inteligencję".

Reakcja UODO na działania Open AI

"Sprawa dotyczy naruszenia wielu przepisów o ochronie danych osobowych, dlatego zwrócimy się do Open AI o odpowiedź na szereg pytań, by móc wnikliwie przeprowadzić postępowanie administracyjne. Czekamy teraz na to, jak odniesie się do nich twórca ChatGPT" – przekazał prezes UODO Jan Nowak.

Podejście europejskie do problemu

Prezes urzędu zapewnił, że UODO traktuje sprawę bardzo poważnie. Dodał, że nie są to pierwsze wątpliwości co do zgodności działania narzędzia ChatGPT z europejskimi zasadami ochrony danych osobowych i prywatności.

"Europejska Rada Ochrony Danych Osobowych powołała specjalną grupę roboczą do spraw Open AI" – przypomniał prezes Nowak.

Główne zarzuty wobec ChatGPT

Urząd poinformował, że w rozpatrywanej sprawie dotyczącej ChatGPT skarżący zwrócił się do UODO po tym, jak jego żądania związane z realizacją praw, jakie przysługują mu na gruncie RODO, nie zostały zrealizowane przez firmę Open AI.

"ChatGPT w odpowiedzi na jego zapytanie wygenerował nieprawdziwe informacje na temat osoby skarżącego. Prośba o ich sprostowanie nie została zaś zrealizowana przez Open AI, mimo że każdy administrator ma obowiązek przetwarzać prawidłowe dane. Nie udało się też dowiedzieć skarżącemu, jakie w ogóle dane na jego temat przetwarza ChatGPT" - wyjaśnił Urząd Ochrony Danych Osobowych.

Zgodnie z informacją UODO skarżący "ma również pretensje do spółki o to, że w odpowiedzi na jego żądania naruszyła art. 12 i art. 5 ust. 1 lit a RODO. Udzielała mu odpowiedzi wymijających, wprowadzających w błąd i w dodatku wewnętrznie sprzecznych. A to tylko podsyciło obawy o legalność, jak i przejrzystość przetwarzania danych osobowych przez twórcę tego narzędzia". Skarżący "wytyka (...) brak przejrzystości w zasadach przetwarzanych danych przez spółkę, co ma potwierdzać zarówno korespondencja z nią, ale i polityka prywatności" - dodano.

W skardze, jaka trafiła do UODO, wskazano także, że spółka nie zrealizowała obowiązku informacyjnego wobec skarżącego. Dane tej osoby pozyskała w 2021 roku, a zdaniem skarżącego obowiązek informacyjny powinien być spełniony już na etapie przetwarzania pozyskanych danych do celów treningowych modeli językowych sztucznej inteligencji. Spółka nie poinformowała też skarżącego o źródle danych na jego temat, ani o odbiorcach bądź kategoriach odbiorców tych danych - dodano.

Oczekiwania skarżącego

Skarżący domaga się, by UODO nie tylko zobowiązał Open AI do prawidłowego wykonania praw, jakie daje mu RODO, ale i zbadał zgodności modelu przetwarzania danych osobowych przez Open AI w ramach ChatGPT z przepisami ochrony danych osobowych.

Komentarz zastępcy prezesa UODO

Zastępca prezesa UODO Jakub Groszkowski zwrócił uwagę, że technologia sztucznej inteligencji, w tym przypadku tzw. large language model (LLM), weszła w etap komercyjny i powszechnego stosowania. Jego zdaniem "nie ma żadnych wątpliwości, że jest to technologia przełomowa i moment przełomowy".

"Rozwój nowych technologii musi odbywać się z poszanowaniem praw osób fizycznych wynikających m.in. z RODO. Zadaniem europejskich organów ochrony danych osobowych jest ochrona obywateli Unii Europejskiej przed negatywnymi skutkami technologii przetwarzania informacji" – zaznaczył Groszkowski.

Dodał, że podniesione w skardze zarzuty rodzą wątpliwości co do systemowego podejścia Open AI do europejskich zasad ochrony danych osobowych. Urząd będzie wyjaśniał te wątpliwości w szczególności na tle fundamentalnej zasady "privacy by design" zawartej w RODO - zaznaczył.

autor: Łukasz Pawłowski